CVE-2026-82282

WysokieCVSS 8.0

Opublikowano: 28/08/2026(UTC)Przetłumaczono: 29/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Atlantis do wersji 0.47.1 nie uwierzytelnia punktu końcowego /github-app/setup, co pozwala nieuwierzytelnionym atakującym na dostęp do poświadczeń aplikacji GitHub. Atakujący mogą obserwować lub przechwycić przekierowanie GitHub podczas konfiguracji, aby uzyskać prywatny klucz RSA i sekret webhooka, co umożliwia tworzenie tokenów instalacji i fałszowanie ładunków webhook.

Ocena ryzyka

Ryzyko obejmuje pełne przejęcie kontroli nad aplikacją GitHub, co może prowadzić do nieautoryzowanych działań w repozytoriach i naruszenia integralności procesów CI/CD.

Rekomendacja

Zaleca się natychmiastową aktualizację Atlantis do wersji z poprawką oraz wdrożenie uwierzytelniania dla punktu /github-app/setup. Należy również rotować klucze i sekrety, jeśli istnieje podejrzenie kompromitacji.

Inne podatności w Atlantis

CVE-2026-64679Wysokie
Atlantis w wersjach od 0.19.8 do 0.45.0 nie waliduje poprawnie wartości workspace dostarczanych przez użytkownika. Może to pozwolić na wyjście poza zamierzony katalog workspace i wykonanie operacji na plikach poza nim, co prowadzi do utraty integralności lub DoS.

Oryginalny opis (angielski, źródło NVD)

Atlantis through 0.47.1 fails to authenticate the /github-app/setup endpoint, allowing unauthenticated attackers to access GitHub App credentials. Attackers can observe or intercept the GitHub redirect during setup to obtain the RSA private key and webhook secret, enabling installation token minting and webhook payload forgery.